제약 없는 코딩: 보안 역량을 갖춘 개발자가 자유롭게 배포할 수 있는 이유

이 기사는 원래 SD Times에 게재되었습니다. 업데이트를 거쳐 이곳에 다시 발행되었습니다.

‍

현대 사회에서 기술 검증은 우리 삶의 일부가 되어, 우리에게 자격을 부여하고 새로운 기회의 문을 열어줍니다. 예를 들어, 운전은 대부분 사람에게 중요한 통과 의례이며, 시속 160km 이상으로 달릴 수 있는 2톤짜리 기계를 다룰 자격이 있음을 표준화된 평가를 통해 증명해야 합니다. 특히 고속 주행 중의 실수는 특권 박탈이나 인명 피해로 이어질 수 있습니다.

하지만 누군가에게 운전이 단순한 일상의 편의를 넘어 엘리트 직업이 된다면 어떨까요? F1 드라이버처럼 고속 주행 시 발생할 수 있는 높은 위험을 감수하고 일반인은 다루기 힘든 기계를 운전할 수 있는 수준까지 역량을 키울 수도 있습니다.

이런 관점에서 볼 때, 핵심 인프라, 자동차, 의료 기술 등 우리 삶의 모든 기반이 되는 코드를 작성하는 개발자 대부분이 자신의 보안 역량을 검증받지 않은 채 업무를 수행한다는 사실은 당혹스럽습니다. 반면, 안전한 코드 작성 능력을 이미 입증한 보안 숙련 개발자들은 왜 모든 보안 게이트 때문에 점점 느려지는 개발 파이프라인에서 다른 이들과 똑같이 줄을 서서 기다려야 할까요? 업계는 이를 간과할 문제로 보지 않고 당연한 관행으로 여깁니다.

광범위한 연구에 따르면 대부분의 개발자는 코드 작성 시 보안을 우선순위에 두지 않으며, 흔히 발생하는 보안 취약점을 해결하는 데 필요한 정기적인 교육도 부족합니다. 이들은 보안 속도를 저해하는 원인 중 하나이며, 보안 역량을 갖춘 많은 개발자는 마치 초보 운전자들 뒤에 갇혀 아우토반의 느린 차선에 머물러 있는 듯한 답답함을 느낍니다.

그럼에도 불구하고 보안 업계는 서서히 변화하고 있으며, 즉시 실무에 투입 가능한 검증된 보안 기술을 갖춘 개발자에 대한 수요가 증가하고 있습니다. 바이든 행정부의 국가 사이버 보안 개선에 관한 행정 명령은 미국 정부의 소프트웨어 공급망에 참여하는 모든 공급업체와 그 개발 인력의 보안 관행을 평가할 것을 구체적으로 요구합니다. 개발자의 보안 역량에 대한 강조는 대부분의 분야에서 더욱 커질 것이 분명합니다. 하지만 업계 표준 평가가 부족한 상황에서, 조직은 어떻게 개발 속도를 늦추거나 보안 의식이 높은 개발자의 성장을 방해하지 않으면서 개발자의 보안 역량을 검증할 수 있을까요?

성과 기반 접근 제어: 과연 효과가 있을까?

최소 권한 보안 제어는 많은 조직의 핵심 원칙으로, 각 역할에 필요한 소프트웨어, 데이터, 시스템에만 접근 권한을 부여하는 방식입니다. 이 방법은 특히 제로 트러스트 인증 원칙과 결합할 때 공격 표면을 줄이는 데 효과적입니다. 사실, 이 전략을 API 권한 및 기타 소프트웨어 기반 사용 사례에도 표준으로 적용해야 합니다.

보안 업계에 종사하는 우리 대부분은 소프트웨어가 세상을 집어삼키고 있다는 사실을 잘 알고 있습니다. 에어프라이어를 구동하는 임베디드 시스템 코드나 전력망을 유지하는 코드나 잠재적 취약점 측면에서는 다를 바가 없습니다. 우리의 삶과 중요한 데이터는 위협 행위자들의 손에 달려 있으며, 모든 개발자는 적절한 교육을 통해 코드를 강화할 수 있는 자신의 힘을 이해해야 합니다. 이는 조직의 보안 문화를 근본적으로 개선해야 하는 일이지만, 진정한 DevSecOps 방식의 공동 책임을 위해서는 개발자가 자신의 역할에 관심을 가져야 합니다. 아마도 코드 저장소 접근 권한을 보안 코딩 학습 성과와 연계하는 것이 개발자의 사고방식을 바꾸는 가장 빠른 방법일 것입니다.

예를 들어 금융 서비스 분야의 조직을 생각해 봅시다. 고객 데이터가 포함되어 있거나 신용카드 번호와 같은 귀중한 정보를 저장하는 민감한 저장소가 있을 가능성이 큽니다. 그렇다면 접근 권한을 부여받은 모든 엔지니어가 보안 의식을 갖추고, 엄격한 PCI-DSS 요구 사항을 준수하며, 마스터 브랜치에 신속하고 안전하게 변경 사항을 적용할 수 있다고 가정하는 것이 타당할까요? 일부는 그럴 수 있겠지만, 이러한 지식이 입증되기 전까지는 민감한 시스템에 대한 접근을 제한하는 것이 훨씬 안전할 것입니다.

문제는 대부분의 기업에서 '코딩 면허'와 같은 제도를 도입하는 것이 어렵고, 교육 솔루션에 따라서는 보안 속도 목표를 지원하기에 너무 수동적일 수 있다는 점입니다. 하지만 통합 교육과 도구를 적절히 조합하면 개발자 주도의 방어적 보안 전략을 구축하는 핵심이 될 수 있습니다.

효과적인 교육 통합은 불가능하지 않습니다.

비즈니스 목표와 개발 워크플로를 모두 충족하는 개발자 역량 강화 솔루션을 찾는 것이 절반의 성공입니다. 하지만 '일회성' 규정 준수 교육을 넘어선 노력을 기울여야만 코드 수준의 취약점을 의미 있게 줄일 수 있습니다. 자신의 역량을 성공적으로 입증한 개발자들에게는 더 넓은 기회가 열릴 것이며, 기초적인 보안조차 모를 것이라는 편견에 갇혀 보안 제어에 발목 잡히는 일도 없을 것입니다.

개발 환경과 원활하게 통합되는 실습형 역량 강화는 엔지니어가 보안 코딩 개념을 진정으로 이해하고 적용하는 데 필요한 맥락을 제공합니다. 이러한 통합은 핵심 시스템에 대한 접근을 효과적으로 관리하는 데 사용될 수 있으며, 학습 성과가 뛰어난 개발자가 방해 없이 가장 중요한 민감 업무를 수행하도록 보장합니다. 또한 보상과 인정을 구현하기 쉬워져 보안 숙련 개발자가 동료들에게 선망의 대상이 되도록 합니다.

인생의 많은 일이 그렇듯, 용기 있는 자에게 행운이 따릅니다. 현상 유지를 깨고 개발자 역량 검증에 대한 파격적인 접근 방식을 채택하는 것이야말로 속도를 희생하지 않으면서도 미래의 코드 품질 기준을 높이는 데 꼭 필요한 일입니다.